Por qué Heartbleed no debería hacer que se apresure a cambiar las contraseñas... todavía
El descubrimiento del error de seguridad Heartbleed envió a la web al pánico con su devastadora vulnerabilidad OpenSSL.
En una escala del 1 al 10 de las catástrofes de Internet, este va todo el camino hasta las 11, según el respetado analista de seguridad Bruce Schneier, que no es propenso a la exageración maníaca.
Un grito de "CAMBIE SUS CONTRASEÑAS" ha brotado de las gargantas de los sitios que emiten evasivomaniobras, pero es posible que desee esperar unos días para volverse loco por restablecer la contraseña.
Este es el por qué:
Como explica el creadores de 1Password - que no se ve afectado por Heartbleed - muchos servidores no han corregido su vulnerabilidad y probablemente no lo hará durante unos días, lo que significa que la nueva contraseña que está creando aún puede ser robada y utilizada en el futuro.
“En algún momento, necesitará cambiar muchas contraseñas. Pero no se apresure a hacerlo todavía. No todos los servidores se ven afectados, y los que sí lo son deben arreglar las cosas antes de que cambie su contraseña. Si cambia su contraseña antes de que los servidores arreglen las cosas, su nueva contraseña también será vulnerable a la captura.
Todo lo que la mayoría de nosotros puede hacer es esperar en este punto. Presumiblemente, varios proveedores de servicios anunciarán en los próximos días cuándo y si los usuarios deben cambiar las contraseñas o ser conscientes de que otra información confidencial puede haber estado expuesta ".
Entonces, ¿por qué los proveedores tardan tanto en arreglar las cosas?
Primero tienen que averiguar si son vulnerables, lo que les obliga a ver si su servicio SSL / TLS particular estaba en OPENSSL 1.0.1 - 1.0.1f. Una vez que se hayan actualizado a la versión fija de OpenSSL (1.0.1g), tendrán que revocar los certificados antiguos y resolver las cosas con las autoridades de certificación para obtener uno nuevo.
Las autoridades de certificación estarán muy, muy ocupadas en los próximos días.
Fuente: AgileBits
